Con l’entrata in vigore della direttiva NIS2 e del regolamento DORA, la gestione del rischio informatico non è più un compito di reparto: diventa una questione di governance aziendale. Il consiglio di amministrazione (CdA) è chiamato a valutare, approvare e monitorare le politiche di sicurezza, diventando responsabile sia in caso di mancata adozione sia in caso di violazione.
Il decreto legislativo 138/2024, che recepisce NIS2, attribuisce al CdA l’obbligo di approvare le misure di gestione del rischio (articolo 23) e di vigilare sulla loro attuazione. Le sanzioni per le violazioni possono raggiungere i 10 milioni di euro o il 2 % del fatturato mondiale, mentre la responsabilità penale si attiva solo se il consiglio ignora le diffide dell’autorità. Il business judgment rule protegge le decisioni ragionate, ma non l’inadempienza di obblighi specifici.
Il nuovo ruolo del consiglio di amministrazione sotto NIS2 e DORA
Le FAQ dell’Autorità di Vigilanza (ACN) del 14 luglio 2026 hanno precisato che le funzioni di approvazione strategica rimangono esclusivamente attribuite al CdA, non delegabili a comitati operativi. Le attività operative – redazione di procedure, istruzioni dettagliate e gestione quotidiana – continuano a spettare alle funzioni tecniche. Nei soggetti finanziari, DORA assegna al dirigente responsabile della gestione dei rischi informatici l’onere finale, in linea con l’articolo 5 del regolamento.
La prova di diligenza richiesta dalla normativa si basa su un audit trail completo: verbali di riunione, report di valutazione, registri di incidenti, piani di continuità operativa e registri formativi. Solo dimostrando chi, quando e con quali informazioni ha adottato le decisioni, il CdA può difendersi da sanzioni e responsabilità civili.
Tre scenari pratici che mettono alla prova la governance
Ransomware con minaccia di esfiltrazione
Un attacco ransomware che blocca i sistemi e minaccia di diffondere dati sensibili solleva dubbi non solo sull’incidente, ma sulla preparazione preventiva. La mancanza di backup testati, di patching regolare e di procedure di escalation può far scattare la responsabilità dell’ente, anche ai sensi del d.lgs. 231/2001, aggravata dalla legge 90/2024. In tali casi, la prova di diligenza è la capacità di dimostrare che le misure richieste erano state approvate e verificate periodicamente.
Fuga di dati per errore umano (CC vs CCN)
Un semplice errore di digitazione – l’invio di una mail a “CC” anziché a “CCN” – può trasformarsi in una violazione se non sono state fornite adeguate linee guida e formazione. Il Garante ha sanzionato casi simili con ammende da 8.400 a 70.000 euro, sottolineando che la responsabilità nasce dalla carenza di istruzioni documentate e dalla mancata valutazione del rischio associato a errori di routine.
Compromissione di un provider cloud
Quando un servizio di cloud esterno subisce un attacco, la difesa “è del fornitore” non è più sufficiente. La normativa richiede una mappatura dei fornitori, due diligence preventiva, contratti con clausole di notifica degli incidenti e una strategia di uscita (exit strategy). Anche se l’entità non è direttamente soggetta a DORA, le regole sulla filiera di NIS2 impongono la stessa disciplina di gestione dei fornitori.
Clausole assicurative da verificare in polizze cyber e D&O
Le polizze cyber e D&O devono contenere definizioni chiare di sinistro, includere la clausola “claims made” e prevedere retroattività. È fondamentale analizzare le condizioni di assicurabilità, i questionari preliminari, la presenza di coperture “silent cyber”, “cyber war” e le modalità di riscatto del ransomware. Inoltre, le polizze devono coprire sanzioni amministrative, spese legali e danni a terzi, tenendo conto dell’indagine IVASS del 2023 che ha evidenziato lacune nelle coperture per PMI e privati.
La transizione dalla semplice compliance alla dimostrazione concreta di diligenza richiede al CdA di rispondere a una checklist di sette domande operative, di mantenere un audit trail robusto e di verificare attentamente le clausole assicurative. Nessuna delle proposte attualmente in discussione a livello europeo (Digital Omnibus, revisioni NIS2, nuovo Cybersecurity Act) è ancora in vigore, perciò gli obblighi attuali rimangono i riferimenti fondamentali per la governance cyber.
